什麼是數位憑證

標籤：使用   strong   for   檔案   資料   問題   代碼   sp   時間   

也許您對"數位憑證"這一概念還很陌生，其實，數位憑證就是標誌網路使用者身份資訊的一系列資料，用來在網路通訊中識別通訊各方的身份，即要在Internet上解決"我是誰"的問題，就如同現實中我們每一個人都要擁有一張證明個人身份的身份證或駕駛執照一樣，以表明我們的身份或某種資格。
    數位憑證是由權威公正的第三方機構即CA中心簽發的，以數位憑證為核心的加密技術可以對網路上傳輸的資訊進行加密和解密、數位簽章和簽名驗證，確保網上傳遞資訊的機密性、完整性，以及交易實體身份的真實性，簽名資訊的不可否認性，從而保障網路應用的安全性。

    數位憑證採用公開金鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個使用者擁有一把僅為本人所掌握的私人密鑰（私密金鑰），用它進行解密和簽名；同時擁有一把公用密鑰（公開金鑰）並可以對外公開，用於加密和驗證簽名。當發送一份保密檔案時，發送方使用接收方的公開金鑰對資料加密，而接收方則使用自己的私密金鑰解密，這樣，資訊就可以安全無誤地到達目的地了，即使被第三方截獲，由於沒有相應的私密金鑰，也無法進行解密。通過數位手段保證加密過程是一個無法復原過程，即只有用私人密鑰才能解密。在公開密鑰密碼體制中，常用的一種是RSA體制。

    使用者也可以採用自己的私密金鑰對資訊加以處理，由於密鑰僅為本人所有，這樣就產生了別人無法產生的檔案，也就形成了數位簽章。採用數位簽章，能夠確認以下兩點：
（1）保證資訊是由簽名者自己簽名發送的，簽名者不能否認或難以否認； 
（2）保證資訊自簽發後到收到為止未曾作過任何修改，簽發的檔案是真實檔案。

    數位憑證可用於：發送安全電子郵件、訪問安全網站、網上證券、網上招標採購、網上籤約、網上辦公、網上繳費、網上稅務等網上安全電子交易處理和安全電子交易活動。

    數位憑證的格式一般採用X.509國際標準。目前，數位憑證認證中心主要簽發安全電子郵件認證、個人和企業身份認證、伺服器憑證以及程式碼簽署認證等幾種類型認證。

數位憑證的格式遵循ITUTX.509國際標準。一個標準的X.509數位憑證包含以下一些內容： 認證的版本資訊；  認證的序號，每個認證都有一個唯一的認證序號； 認證所使用的簽名演算法，如RSA演算法； 認證的發行機構（CA中心）的名稱，命名規則一般採用X.500格式； 認證的有效期間，現在通用的認證一般採用UTC時間格式，它的計時範圍為1950年-2049年； 認證擁有者的名稱，命名規則一般採用X.500格式； 認證擁有者的公開密鑰； 認證發行機構（CA中心）對認證的數位簽章。

X.509數位憑證結構 （第三版）

版本號碼..................認證的版本標識符（例如，版本3）
序號 .................標識認證的唯一整數
簽名....................用於簽認證的演算法標識
頒發者 .................憑證簽發者的唯一識別名
有效期間 .................認證有效時間段
主體....................認證擁有者的唯一識別名
主體公開金鑰資訊 ...........認證擁有者的公開金鑰（和演算法標識符）
頒發者唯一識別碼........頒發者的可選唯一識別碼
主體唯一識別碼 .........主體的唯一識別符
擴充部分 ...............可選的擴充

欄位說明：
  ①版本號碼—標識認證的版本（版本1、版本2或是版本3）。
  ②序號—由憑證簽發者分配的本認證的唯一識別碼。
  ③簽名 —簽名演算法標識符，由物件識別碼加上相關的參數組成，用於說明本認證所用的數位簽章演算法。例如，SHA-1和RSA的物件識別碼 就用來說明該數位簽章是利用RSA對SHA-1雜湊加密。
  ④頒發者—憑證簽發者的可識別名（DN），這是必須說明。
  ⑤有效期間—認證有效期間的時間段。本欄位由”Not Before”和”Not After”兩項組成，它們分別由UTC時間或一般的時間表示（在RFC2459中有詳細的時間表示規則）。
  ⑥主體 —認證擁有者的可識別名，這個欄位必須是非空的，除非你在認證擴充中有別名。
  ⑦主體公開金鑰資訊—主體的公開金鑰（以及演算法標識符），這一項必須說明。
  ⑧頒發者唯一識別碼—憑證簽發者的唯一識別碼，僅在版本2和版本3中有要求，屬於可選項。
  ⑨主體唯 一標識符—認證擁有者的唯一識別碼，僅在版本2和版本3中有要求，屬於可選項。
  ⑩擴充 —可選的標準和專用的擴充（僅在版本2和版本3中使用），它們包括：
   ◆Authority金鑰識別元—認證所含密鑰的唯一識別碼，用來區分同一認證擁有者的多對密鑰。
   ◆密鑰使用—一個位元串，指明（限定）認證的公開金鑰可以完成的功能或服務，如：認證簽名、資料加密等。
   ◆擴充密鑰使用—由一個或多個物件識別碼（OIDs）組成，可以說明認證密鑰的特殊用途。有Internet策略限定，存取描述符限定[3]等，請參見RFC2459。
   ◆CRL分布點—指明CRL的分布地點。
   ◆私密金鑰的使用期—指明認證中與公開金鑰相聯絡的私密金鑰的使用到期日，它也有Not Before和Not After組成。若此項不存在時，公私密金鑰的使用期是一樣的。
   ◆憑證原則—由物件識別碼和限定符組成，這些物件識別碼說明認證的頒發和使用原則有關。
   ◆策略映射—表明兩個CA域之間的一個或多個策略物件識別碼的等價關係，僅在CA認證裡存在。
   ◆主體別名—指出認證擁有者的別名，如電子郵件地址、IP地址等，別名是和DN綁定在一起的。
   ◆頒發者別名--指出憑證簽發者的別名，如電子郵件地址、IP地址等，但頒發者的DN必須出現在認證的頒發者欄位。
   ◆主體目錄屬性—指出認證擁有者的一系列屬性。可以使用這一項來傳遞存取控制資訊。s

什麼是數位憑證